Une demande d’assistance reçue sur Microsoft Teams peut ouvrir la voie à une compromission complète du domaine Windows. Microsoft a documenté deux intrusions au cours desquelles des pirates se sont fait passer pour le service informatique afin de convaincre des salariés de leur donner un accès à distance. Une fois dans le poste, ils ont détourné des certificats Active Directory pour usurper des comptes privilégiés et atteindre les données de l’entreprise.
Une attaque fondée sur la confiance, pas sur une faille de Teams
Aucune vulnérabilité de Teams n’a été exploitée. Les attaquants ont utilisé les messages et appels externes avec un nom évoquant un « support IT ». Ils ont amené la victime à lancer Quick Assist, l’outil légitime d’assistance à distance de Windows, puis à communiquer le code de connexion. Après autorisation, le faux technicien peut manipuler l’ordinateur. L’emploi d’un outil officiel rend l’activité moins suspecte qu’une pièce jointe inconnue.
De Quick Assist aux certificats Active Directory
Après la prise de contrôle, les pirates ont déposé une archive puis exécuté des scripts avec des versions portables de Python, Java, JavaScript ou Bun. Ils ont collecté des informations sur le poste, le réseau et Active Directory avant de rechercher des erreurs de configuration dans Active Directory Certificate Services (AD CS).
Un certificat d’authentification mal délivré devient une clé durable. Changer le mot de passe ou réinstaller le premier poste ne révoque pas automatiquement ce certificat. Les tickets Kerberos déjà obtenus doivent aussi être traités séparément.
Deux scénarios dangereux : ESC1 et ESC8
Dans le premier incident, un modèle vulnérable à ESC1 permettait au demandeur d’indiquer l’identité à représenter. Avec des droits d’inscription trop larges, un utilisateur peu privilégié pouvait obtenir un certificat au nom d’un administrateur. Une première vague a produit des certificats pour trois comptes hautement privilégiés. Environ 90 minutes plus tard, une seconde vague a ciblé 16 utilisateurs et produit huit certificats privilégiés supplémentaires.
Microsoft Defender a bloqué plus de 1 000 tentatives d’accès SMB et d’autres connexions. Mais un compte privilégié exclu de la réponse automatique est resté utilisable. L’attaquant l’a exploité pour atteindre un serveur de fichiers et lancer une copie renommée de Rclone, qui a transféré des données vers un serveur SFTP externe. Un confinement partiel peut donc ralentir l’attaque sans fermer toutes les voies.
Dans le second cas, les pirates ont employé PetitPotam pour forcer un contrôleur de domaine à s’authentifier vers leur machine. Cette authentification NTLM a été relayée vers l’inscription web AD CS : c’est la technique ESC8. Ils ont obtenu un certificat représentant le contrôleur de domaine, puis un ticket Kerberos via PKINIT. Le poste a toutefois été isolé rapidement et aucune progression supplémentaire n’a été observée.
Les signes qui doivent alerter
- Un message ou appel inattendu provenant d’un compte Teams marqué externe.
- Un technicien sans ticket ni procédure interne vérifiable.
- Une demande urgente d’ouvrir Quick Assist, AnyDesk ou un autre outil distant.
- Une demande de code de connexion ou de contrôle complet.
- Un dossier ressemblant à une mise à jour Windows créé après la session.
Comment protéger l’entreprise
Toute assistance non sollicitée doit être confirmée via un canal interne connu. Il faut limiter les domaines externes dans Teams et n’autoriser que les outils de téléassistance validés. Les équipes Active Directory doivent inventorier les modèles de certificats, supprimer la possibilité pour le demandeur de choisir librement l’identité et réduire les droits d’inscription.
Pour l’inscription web AD CS, Microsoft recommande HTTPS, l’activation de l’Extended Protection for Authentication et, lorsque possible, la désactivation de NTLM. Il faut également auditer l’émission des certificats et corréler les journaux Teams, endpoints, AD CS et Kerberos. Toute identité exclue d’un confinement automatique doit recevoir immédiatement une action manuelle.
Ce qu’il faut retenir
Cette campagne transforme un geste humain banal en accès privilégié durable. La protection repose sur la formation, le contrôle des communications externes, la restriction des outils d’assistance et une configuration rigoureuse d’AD CS.
Sources : Microsoft Security Research, 30 octobre 2026 ; The Hacker News, 2 novembre 2026.
